无法使用 C# 删除 cookie

Question

我的浏览器中有两个 cookie，在登录期间由 IDS4 放在那里。我需要删除它们。无法通过退出来摆脱它们（无论出于何种原因，despite the docs），我决定应用一个实用的解决方法并手动删除它们。看来那些是硬饼干。其中两个...

我试图像这样摆脱它们 - 针对所有可用的架构 as suggested。

await HttpContext.SignOutAsync("Identity.Application");
await HttpContext.SignOutAsync("Identity.External");
await HttpContext.SignOutAsync("Identity.TwoFactorRememberMe");
await HttpContext.SignOutAsync("Identity.TwoFactorUserId");
await HttpContext.SignOutAsync("idsrv");
await HttpContext.SignOutAsync("idsrv.external");

我试图通过proposed here 的明确命中来杀死他们。不过，显然 cookie 不是这样崩溃的。

Response.Cookies.Delete(".AspNetCore.Identity.Application");
Response.Cookies.Delete("idsrv.session");

这些都不会抹去它们。当然，当我重新启动浏览器时，它们确实会消失，但我需要它们在没有这种措施的情况下消失（另外，如果我要重新启动浏览器，我不需要注销用户，因为它们无论如何都会消失）。

我看到了调用HttpContext.Current 的建议，但这与我的控制器中的HttpContext 相同（根据this）。有talk about Session.Abandon，但在我的上下文中没有看到该字段。似乎有 some issues 处理这个具体问题，但我不知道 IDS4 团队是否仍未解决这些问题。

编辑

public async Task<IActionResult> LogOut([FromQuery] string logoutId)
{
  LogoutRequest context = await InteractionService.GetLogoutContextAsync(logoutId);

  bool? isLoggedIn = User?.Identity.IsAuthenticated;
  isLoggedIn |= User.IsAuthenticated();

  await HttpContext.SignOutAsync();
  await HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
  await HttpContext.SignOutAsync(IdentityConstants.ExternalScheme);

  //Response.Cookies.Delete("idsrv.session");

  var output = new
  {
    authenticated = isLoggedIn,
    clientId = context.ClientId,
    sessionId = context.SessionId,
    redirect = context.PostLogoutRedirectUri,
    sub = context.SubjectId
  };

  return Ok(output);
  // return SignOut();
}

Answer 1

您是否尝试过设置 cookie 的过期时间？

Response.Cookies.Append("idsrv.session", "", new CookieOptions() {
    Expires = DateTime.Now.AddDays(-1)
});

当浏览器收到服务器的响应时，它会识别出你提供的名字的cookie（在这个例子中是idsrv.session）已经过期，因此，它会删除这个cookie。

另一个可能有帮助的方法是将 Secure 选项设置为 true ：

"为了删除 SameSite=None cookie，过期日期为过去的替换 cookie 还需要设置 Secure 标志。如果不是这样，则不会删除 cookie（如: Chrome 不接受替换 cookie)" -https://www.thinktecture.com/en/identity/samesite/how-to-delete-samesite-cookies/

Response.Cookies.Delete("CookieName", new CookieOptions()
{
   Secure = true,
});

Answer 2

当您退出时，您不应从操作方法返回任何内容，因为 SignOutAsync 会生成自己的“响应”。我就是这样做的：

[HttpPost]
[ValidateAntiForgeryToken]
public async Task Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);

    //Important, this method should never return anything.
}